%SystemDriver% 系统所在分区，通常为“C:\”
%SystemRoot% WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings% 用户文档目录，通常为“C:\Documents and Settings”
%Temp% 临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录，通常为：“C:\ProgramFiles”作者: pioneer 时间: 2012-6-19 11:20 病毒分析：
1.获取"kmon.dll"的句柄，将其从当前进程地址空间释放掉。
2.获取系统目录，判断当前进程是否为"C:\WINDOWS\system32\svchost.exe"，如果不是则执行：
(1)获取系统目录，判断当前进程是否为"C:\WINDOWS\system32\WinHelp32.exe"，如果不是则将病毒文件拷贝重命名为"C:\WINDOWS\system32\WinHelp32.exe"，设置文件属性为系统和隐藏。
(2)调用windows未导出函数"CreateProcessInternalA"创建新进程，执行"C:\WINDOWS\system32\WinHelp32.exe"，如果此方法执行失败，则调用"ShellExecute"执行"C:\WINDOWS\system32\WinHelp32.exe"。
(3)设置当前进程以及当前线程优先级，创建新进程，执行"C:\WINDOWS\system32\cmd.exe /C del 病毒主程序 > nul"将病毒文件删除。
3."C:\WINDOWS\system32\WinHelp32.exe"运行之后：
(1)打开服务控制管理器，创建名字为"WinHelp32"的服务，执行映像指向"C:\WINDOWS\system32\WinHelp32.exe"，启动类型为自动。并启动此服务,设置注册表键值项"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinHelp32" = "Windows Help System for X32 windows desktop."。
(2)"C:\WINDOWS\system32\WinHelp32.exe"作为服务运行之后，执行"C:\Windows\system32\svchost.exe"，以此作为宿主进程，读取病毒数据，写入此进程并执行。
4."C:\WINDOWS\system32\svchost.exe"作为病毒宿主进程执行后，创建名字为"NRUTEMBRGEXDGMZSGIXG64THHIZDAMJQ"的互斥对象，防止重复运行。
5.循环创建线程，解密网址"li2**1.3322.org:2010"，连接到此网址。获取当前处理器的类型、操作系统的版本、内存使用情况、本地语言等信息发送到远程主机并从远程主机接收数据。
